NTPとは？

NTPの意味

ネットワーク経由で機器の時刻を同期させるプロトコル。簡略版がSNTP。ログの相関分析、証明書やチケットの有効期限判定、Kerberos認証の成立に正確な時刻が不可欠である。

NTPの具体例

複数サーバのログを突合したが、Webサーバの時刻が3分ずれており攻撃の順序を再現できなかった。社内に階層化したNTPサーバを置いて全機器を同期させ、リフレクション攻撃の踏み台化を防ぐため外部からの問い合わせと状態照会を遮断した。

NTPは試験でどう引っ掛けられる？

NTPサーバは反射増幅型DDoSの踏み台にされうるため、外部からの不要な問合せに応答しない設定にする。

NTPと関連する用語

• 監査証跡
• Kerberos
• DNSリフレクション攻撃

NTPが出た過去問

• NTPリフレクション攻撃の特徴はどれか。

  正解：送信元を偽って，NTPサーバにレスポンスデータが大きくなる要求を送信する。

  要点：送信元を偽り大きな応答を標的へ反射・増幅させる

  リフレクション（反射）攻撃は、送信元IPアドレスを攻撃対象に詐称した要求を第三者のサーバへ送り、その応答を攻撃対象へ集中させるDDoS手法です。NTPではmonlistのように小さな要求に対して非常に大きな応答が返るコマンドがあり、増幅率が高くなります。したがって送信元を偽って応答が大きくなる要求を送る、が特徴です。

  出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問2（IPA）

• リフレクタ攻撃に悪用されることの多いサービスの例はどれか。

  正解：DNS,Memcached,NTP

  要点：反射・増幅攻撃はUDPで応答が大きいサービスが狙われる

  リフレクタ攻撃（反射攻撃）は、送信元IPアドレスを標的のものに詐称した要求を第三者のサーバへ送り、その応答を標的に集中させる手法である。悪用されやすいのは、コネクション確立を伴わないUDPを使い、かつ要求よりも応答のデータ量が大幅に大きくなる（増幅率が高い）サービスで、DNS・NTP（monlist）・Memcachedがその代表例である。応答が数十倍から数万倍に膨らむため、少ない帯域で大規模なDDoSを成立させられる。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問1（IPA）

• インターネットに接続されたPCの時刻合わせに使用されるプロトコルはどれか。

  正解：SNTP

  要点：PCの時刻合わせにはNTPを簡略化したSNTPを使う

  SNTPはNTPの手順を簡略化した時刻同期プロトコルで、上位の時刻サーバに問い合わせて往復遅延から時刻のずれを求め、クライアントの時計を合わせる。複雑な統計処理を省いているため実装が軽く、一般的なPCや組込み機器の時刻合わせに広く使われる。時刻の一致はログの相関分析やデジタル証明書の有効期間の判定にも不可欠である。

  出典：令和4年度 春期 情報処理安全確保支援士試験 am2 問19（IPA）

• NTPリフレクション攻撃の特徴はどれか。

  正解：送信元を偽って,NTPサーバにレスポンスデータが大きくなるリクエストを送信する。

  要点：NTPリフレクションは送信元を詐称し大きな応答を標的へ集中させる

  NTPリフレクション攻撃は、送信元IPアドレスを攻撃対象に詐称してNTPサーバへ問合せを送り、応答を攻撃対象に集中させるDDoS攻撃である。monlistのように小さな要求に対して非常に大きな応答が返るコマンドを使うと増幅率が高くなるため、エが特徴として正しい。対策はNTPサーバを外部から使えないよう制限し、増幅の踏み台にしないことである。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問4（IPA）

• DRDoS攻撃に該当するものはどれか。

  正解：多数のDNSサーバに対して送信元のIPアドレスを標的のIPアドレスに偽装したリクエストを送信し、それらのサーバの応答パケットによって、標的のサーバのリソースを枯渇させ、利用を妨害する。

  要点：DRDoSは送信元を偽装し第三者の応答を標的に反射させる攻撃

  DRDoS（Distributed Reflection DoS＝分散反射型DoS）は、攻撃者が送信元IPアドレスを標的のものに偽装したリクエストを、DNSやNTPなど応答を返す多数の公開サーバへ送り、その応答を標的へ集中させる攻撃です。攻撃者自身は標的と直接通信せず、第三者のサーバを「反射器」として使う点が特徴です。DNSやNTPは問合せより応答のほうがデータ量が大きいため、増幅（アンプ）効果も伴います。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問1（IPA）